IBM data breach cover-up: what are the risks for client SMEs

La cronologia dell’accusa: cosa è emerso finora

On June 5, 2026, TechCrunch has published un’inchiesta dettagliata su una causa legale che coinvolge IBM. A presentarla è un ex dirigente della cybersecurity del gruppo. L’accusa è grave: IBM avrebbe occultato diverse violazioni di dati avvenute a metà degli anni 2010. Inoltre, nell’inchiesta risultano coinvolte due sussidiarie del colosso tecnologico.

Secondo quanto ricostruito, le violazioni non sarebbero mai state comunicate né alle autorità competenti né ai clienti interessati. Pertanto, l’ex dirigente ha scelto la strada del whistleblowing, trasformandosi in accusatore formale. Al momento, IBM non ha rilasciato dichiarazioni pubbliche che confermino o smentiscano in modo definitivo le accuse.

Tuttavia, il solo deposito della causa ha già innescato un dibattito significativo nel settore. In particolare, si discute di quanto spesso le grandi aziende tecnologiche gestiscano internamente gli incidenti, evitando la disclosure pubblica. Dunque, la questione non riguarda solo IBM: riguarda un modello di gestione del rischio diffuso tra i vendor enterprise.

Vincitori e perdenti nell’ecosistema enterprise

In una vicenda come questa, le posizioni si distribuiscono in modo netto. Da un lato, il whistleblower ha scelto di esporre un rischio sistemico. Dall’altro, IBM si trova a gestire una crisi reputazionale potenzialmente costosa. Tuttavia, i veri soggetti vulnerabili sono altrove.

I clienti enterprise — incluse le PMI italiane che utilizzano soluzioni IBM per infrastrutture cloud, sicurezza o analytics — sono i soggetti più esposti. Infatti, se una violazione non viene notificata, il cliente non può attivare le proprie misure di contenimento. Di conseguenza, il danno si moltiplica nel tempo, spesso senza che l’organizzazione ne sia consapevole.

Analogamente, i concorrenti di IBM potrebbero trarre vantaggio tattico dalla vicenda. Tuttavia, sarebbe ingenuo considerarla un’anomalia isolata. Secondo un’analisi di McKinsey on Cyber Resilience, molte organizzazioni globali sottostimano sistematicamente i tempi di rilevamento e notifica delle violazioni. Perciò, il problema è strutturale, non individuale.

Infine, le autorità di vigilanza — in Europa, il Garante Privacy e le autorità nazionali GDPR — sono potenzialmente tra i soggetti che potrebbero agire con maggiore incisività dopo casi come questo. Allo stesso modo, i legislatori potrebbero accelerare l’adozione di norme più stringenti sulla supply chain della sicurezza informatica.

Reading SHM Studio: the contract nobody reads to the end

We of SHM Studio We work daily with Italian SMEs that entrust part of their digital infrastructure to external vendors. Therefore, we are very familiar with a recurring problem: service contracts are signed, but rarely analyzed for clauses related to incident management.

In particolare, esistono tre aree critiche che ogni PMI dovrebbe verificare nel proprio accordo con un fornitore tecnologico. Prima di tutto, la clausola di notifica: entro quante ore il fornitore è obbligato a comunicare un breach? In secondo luogo, la responsabilità residuale: chi risponde in caso di sanzione GDPR derivante da un’omissione del vendor? Infine, il diritto di audit: l’azienda cliente può richiedere evidenze delle misure di sicurezza adottate?

According to the guidelines of Garante per la protezione dei dati personali, il titolare del trattamento rimane responsabile anche quando delega operazioni a un responsabile esterno. Di conseguenza, l’omissione del fornitore non esonera il cliente dalle proprie responsabilità legali. Questo è un punto che molte PMI ignorano fino al momento in cui si trovano di fronte a una contestazione.

The construction site still open: GDPR, NIS2, and the security supply chain

Il caso IBM si inserisce in un contesto normativo europeo in rapida evoluzione. Infatti, la Direttiva NIS2 — entrata in vigore nel 2023 e recepita progressivamente dagli Stati membri — estende gli obblighi di sicurezza informatica anche alle organizzazioni che fanno parte della catena di fornitura di soggetti essenziali. Pertanto, anche una PMI che fornisce servizi a un’azienda di medie dimensioni può trovarsi soggetta a requisiti di notifica e gestione degli incidenti.

Oltre a questo, il Regolamento DORA — applicabile dal gennaio 2025 al settore finanziario — ha introdotto standard stringenti sulla resilienza operativa digitale e sulla gestione dei fornitori ICT. Tuttavia, l’impatto culturale di questi regolamenti si estende ben oltre il perimetro finanziario. Di conseguenza, molte PMI stanno scoprendo che i propri clienti bancari o assicurativi richiedono ora evidenze di conformità anche ai fornitori tecnologici indiretti.

In questo scenario, la gestione della cybersecurity non può più essere delegata interamente a un vendor esterno senza un sistema di controllo interno. Dunque, serve una strategia che combini scelta consapevole dei fornitori, contrattualistica adeguata e capacità di risposta autonoma agli incidenti. Per approfondire questi temi, il team di SHM Studio — Servizi AI e digital marketing supports SMEs in building a secure and compliant digital presence.

Next Moves: What should an Italian SME do today

Il caso IBM offre un’occasione concreta per rivedere la propria postura di sicurezza. Tuttavia, non si tratta di un esercizio puramente tecnico. In particolare, le azioni più urgenti sono di natura contrattuale e organizzativa.

• Data Processing Agreement (DPA) Review: ogni contratto con un fornitore che tratta dati personali deve includere clausole esplicite su notifica, responsabilità e diritto di audit. Pertanto, è opportuno coinvolgere un consulente legale specializzato in privacy.
• Critical Vendor Mapping: non tutti i vendor hanno lo stesso livello di accesso ai dati aziendali. Quindi, è utile classificarli per criticità e verificare le misure di sicurezza dichiarate. Strumenti come il ENISA framework for NIS2 They offer a structured guide.
• Incident Response Plan: anche se il breach avviene presso un fornitore, l’azienda cliente deve sapere come reagire. Infatti, le autorità valuteranno anche la prontezza della risposta interna.
• Internal training: Personnel managing vendor relationships must know their contractual rights and escalation procedures in case of a reported incident.
• External Communications Department in the event of involvement in an accident, communication with clients and stakeholders must be timely and consistent. Disorganized crisis management amplifies reputational damage. On this front, services offered by Strategic copywriting e LinkedIn campaign can support the construction of a credible narrative.

Quello che nessuno dice: il costo dell’omissione silenziosa

C’è un aspetto del caso IBM che raramente viene discusso apertamente. Il danno maggiore di un breach non notificato non è tecnico: è fiduciario. Infatti, quando un’organizzazione scopre — spesso anni dopo — che i propri dati erano stati compromessi senza che nessuno la informasse, la relazione con il fornitore è irrecuperabile.

Per una PMI, questo scenario ha conseguenze concrete. Innanzitutto, si apre una finestra di incertezza su quali dati siano stati effettivamente esposti. In seguito, si pone il problema di comunicare l’accaduto ai propri clienti finali, con tutti i rischi reputazionali che ne derivano. Inoltre, si attiva un potenziale contenzioso legale con il fornitore inadempiente.

Pertanto, la scelta dei partner tecnologici non può basarsi esclusivamente su prezzo e funzionalità. La trasparenza nella gestione degli incidenti deve diventare un criterio di selezione esplicito. Per questo motivo, noi di SHM Studio We encourage SMEs to include this aspect in their vendor evaluation checklists, alongside traditional technical parameters.

Per approfondire come strutturare una strategia digitale resiliente, è possibile consultare le nostre risorse su web development, SEO, Google Ads campaigns or contact the team directly. Further details are available in the SHM Studio Blog.